Dieser Beitrag basiert auf Mackenzies Gespräch mit Noora Ahmed-Moshe im Podcast The Secure Disclosure. Hören Sie die vollständige Episode.
Ein Unternehmen verlor eine Million Dollar, weil jemand während eines Rechtsstreit-Anrufs ein KI-Notiztool verwendete. Wie die Verhaltenswissenschaftlerin Noora Ahmed-Moshe im Podcast erklärt, fasste das Tool ein vertrauliches Gespräch zusammen und sendete es an die Gegenpartei, die es nutzte, um eine Einigung zu ihren Bedingungen zu erzwingen. Rechtsexperten warnen, dass KI-generierte Transkripte nun routinemäßige Beweismittel in Gerichtsverfahren sind.
Notiztools sind nur ein Beispiel. Mitarbeitende nutzen KI auf mehr Arten, als ihren Unternehmen bewusst ist, und die Realität ist, dass sie dazu gezwungen sind. Laut Ahmed-Moshe ist dies eine Angstreaktion. „Es gibt ein allgemeines Gefühl der Panik, dass KI kommen und den Job übernehmen wird.“ Über 95 % der Arbeitgeber suchen heute Mitarbeitende mit KI-Fähigkeiten. Mitarbeitende haben Angst, bei den Tools den Anschluss zu verlieren, weil sie den Arbeitsmarkt richtig einschätzen.
Diese Angst treibt Shadow AI an. Mitarbeitende greifen auf nicht genehmigte Tools zurück, weil die Technologie sich schneller entwickelt, als jeder Genehmigungszyklus erfassen kann. Bis Ihre IT-Abteilung einen POC durchgeführt und den Zugriff gewährt hat, haben Ihre Mitarbeitenden bereits von einem Freund von etwas Besserem gehört. Wenn Sie ihnen ein genehmigtes Tool geben, das nicht zu ihrem Workflow passt, und dann alles andere blockieren, haben Sie sie nur dazu gebracht, die Tools zu verstecken, die sie wirklich nutzen.
Und im Verstecken beginnt die Sicherheitsverletzung.
Panik ist jetzt Ihre Angriffsfläche
Studien zeigen, dass mehr als die Hälfte der Mitarbeitenden bei der Arbeit nicht genehmigte KI-Tools nutzen. Mehr als die Hälfte davon speist sensible Unternehmensdaten in Tools ein, die ihr Unternehmen weder verwaltet, überwacht noch überhaupt kennt. Das bedeutet, dass sensible Materialien wie Rechtsdokumente, Kundendaten und interne Strategien alle in ungeprüfte Modelle fließen.
Selbst seriöse Tools in kostenlosen Tarifen könnten diese Daten zum Trainieren von Modellen verwenden. Ein weniger seriöses Tool könnte direkt kompromittiert werden. Und wie Ahmed-Moshe betonte: „Ich glaube nicht, dass sich die Risiken bisher wirklich manifestiert haben, weil es so neu ist.“ Der Blast Radius wächst noch, und wir haben nur die ersten Auswirkungen gesehen.
Verbote funktionieren nicht.
Der Instinkt, jede nicht genehmigte KI-Nutzung zu verbieten, ist verständlich. Samsung tat es mit ChatGPT. Ein Sicherheitsberater postete auf Reddit über einen Kunden, der dasselbe forderte, und stellte dann fest, dass der eigene CEO ChatGPT seit sechs Monaten auf einem persönlichen Konto nutzte, um Präsentationen für den Vorstand zu erstellen.
Das Verbot von Tools, auf die Ihre Mitarbeitenden angewiesen sind, wird sie nicht davon abhalten, diese zu nutzen. Wie Ahmed-Moshe es ausdrückt: „Wenn Sie versuchen, KI-Tools in Ihrer Organisation zu verbieten, sehe ich nicht, wie Sie als Unternehmen noch erfolgreich sein können.“ KI-Tools bergen echte Sicherheitsrisiken, sind aber ein wesentlicher Bestandteil unserer Arbeitsweise. KI-Tools zu verbieten ist wie Teenagern zu sagen, sie sollen ihre Telefone nicht benutzen. Sie werden es einfach tun, wo Sie es nicht sehen können.
Das kennen wir schon. Shadow IT existiert seit Jahren, und BYOD entstand, als Unternehmen erkannten, dass das Blockieren persönlicher Geräte die Produktivität tatsächlich hemmen würde. Sie brauchten eine Möglichkeit, diese zu sichern. Shadow AI ist dasselbe Problem mit höheren Einsätzen.
Wie Sie Ihre Sicherheitslage anpassen, um Shadow AI zu berücksichtigen
Organisationen, die diese Lücke schließen, eliminieren die Bedingungen, die Mitarbeitende überhaupt dazu bringen, ihre Tool-Nutzung zu verbergen.
Was Sie tatsächlich tun können:
- Verschaffen Sie sich zuerst Transparenz: Prüfen Sie, welche Tools verwendet werden, bevor Sie etwas blockieren. Aikido Endpoint überwacht jedes Gerät von Entwickelnden auf Bedrohungen, die außerhalb Ihrer normalen Angriffsfläche liegen.
- Verstehen Sie die Workflow-Lücken: Wenn Mitarbeitende nicht genehmigte Tools verwenden, gibt es einen Grund dafür. Finden Sie ihn und schließen Sie ihn mit etwas, das tatsächlich funktioniert.
- Psychologische Sicherheit schaffen: Offener Dialog ist effektiver als Bestrafung, wenn es um Verhaltensänderungen geht. Zugängliche Sicherheitsteams erhalten eine Sichtbarkeit, die in geschlossenen Kulturen niemals erreicht wird.
- Schneller agieren als der Genehmigungszyklus. Der dreimonatige POC-zu-Deployment-Prozess, der für Unternehmenssoftware funktionierte, ist nicht mehr praktikabel, wenn sich sowohl die Bedrohungslandschaft als auch die Tools monatlich ändern.
Shadow AI ist das neue Phishing, ein Problem menschlichen Verhaltens, das technische Kontrollen zwar reduzieren, aber niemals eliminieren können. Die Panik ist die Schwachstelle. Beheben Sie diese zuerst.
{{cta}}
<script type="application/ld+json">
{
"@context": "https://schema.org",
"@graph": [
{
"@type": "BlogPosting",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#article",
"mainEntityOfPage": {
"@type": "WebPage",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse"
},
"headline": "Shadow AI risks start with fear, and banning makes them worse",
"description": "Employees aren't using unapproved AI tools to cause problems. They're scared of falling behind. Here's why banning shadow AI increases your security risk, and what to do instead.",
"image": {
"@type": "ImageObject",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#primaryimage",
"url": "https://www.aikido.dev/images/blog/shadow-ai-risks.png",
"contentUrl": "https://www.aikido.dev/images/blog/shadow-ai-risks.png",
"width": 1200,
"height": 630
},
"datePublished": "2026-05-12T00:00:00+00:00",
"dateModified": "2026-05-12T00:00:00+00:00",
"author": {
"@type": "Person",
"@id": "https://www.aikido.dev/authors/nicholas-thomson",
"name": "Nicholas Thomson",
"jobTitle": "Senior SEO & Growth Lead",
"worksFor": {
"@type": "Organization",
"name": "Aikido Security",
"url": "https://www.aikido.dev"
},
"sameAs": [
"https://www.linkedin.com/",
"https://x.com/"
]
},
"publisher": {
"@type": "Organization",
"@id": "https://www.aikido.dev#organization",
"name": "Aikido Security",
"url": "https://www.aikido.dev",
"logo": {
"@type": "ImageObject",
"url": "https://www.aikido.dev/logo.png"
}
},
"keywords": [
"shadow AI",
"shadow IT",
"AI security risks",
"unapproved AI tools",
"employee AI usage",
"AI data leakage",
"BYOD security",
"AI note-taker risks",
"security posture",
"attack surface",
"AI governance",
"insider threat",
"enterprise AI security",
"AI compliance",
"behavioral security"
],
"articleSection": "Cybersecurity",
"inLanguage": "en-US",
"timeRequired": "PT5M",
"isBasedOn": {
"@type": "PodcastEpisode",
"name": "AI Panic is Driving Shadow IT with Noora Ahmed-Moshe",
"url": "https://creators.spotify.com/pod/profile/thesecuredisclosure/episodes/AI-Panic-is-Driving-Shadow-IT-w-Noora-Ahmed-Moshe-e3ivlbo",
"partOfSeries": {
"@type": "PodcastSeries",
"name": "Secure Disclosures"
}
},
"about": [
{
"@type": "DefinedTerm",
"name": "Shadow AI",
"description": "The use of unapproved or unsanctioned AI tools by employees within an organization without the knowledge or consent of IT or security teams."
},
{
"@type": "DefinedTerm",
"name": "Shadow IT",
"description": "The use of information technology systems, software, and services without explicit organizational approval."
},
{
"@type": "Thing",
"name": "AI security risk",
"sameAs": "https://schema.org/Thing"
},
{
"@type": "Thing",
"name": "BYOD",
"description": "Bring Your Own Device — a policy allowing employees to use personal devices for work purposes."
}
],
"mentions": [
{
"@type": "Person",
"name": "Noora Ahmed-Moshe",
"jobTitle": "Behavioral Scientist",
"sameAs": "https://www.linkedin.com/in/noora-ahmed-moshe/"
},
{
"@type": "Organization",
"name": "Samsung",
"sameAs": "https://www.samsung.com"
},
{
"@type": "SoftwareApplication",
"name": "ChatGPT",
"applicationCategory": "AI Assistant",
"operatingSystem": "Web",
"sameAs": "https://chat.openai.com"
},
{
"@type": "SoftwareApplication",
"name": "Aikido Endpoint",
"applicationCategory": "Security Software",
"operatingSystem": "Web",
"url": "https://www.aikido.dev/attack/surface-monitoring-dast"
}
],
"citation": [
{
"@type": "WebPage",
"name": "Samsung bans ChatGPT and other generative AI use by staff after leak",
"url": "https://www.bloomberg.com/news/articles/2023-05-02/samsung-bans-chatgpt-and-other-generative-ai-use-by-staff-after-leak"
},
{
"@type": "WebPage",
"name": "Eavesdropping by Algorithm: Legal Risks of AI Meeting Assistants",
"url": "https://www.babstcalland.com/news-article/eavesdropping-by-algorithm-legal-risks-of-ai-meeting-assistants/"
},
{
"@type": "WebPage",
"name": "AI Job Market Report",
"url": "https://zapier.com/blog/ai-job-market-report/"
},
{
"@type": "WebPage",
"name": "Many workers are using unapproved AI tools at work",
"url": "https://www.techradar.com/pro/many-workers-are-using-unapproved-ai-tools-at-work-and-sharing-a-lot-of-private-data-they-really-shouldnt"
}
],
"speakable": {
"@type": "SpeakableSpecification",
"cssSelector": ["h1", "h2", ".article-summary"]
}
},
{
"@type": "WebPage",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse",
"url": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse",
"name": "Shadow AI risks start with fear, and banning makes them worse",
"description": "Employees aren't using unapproved AI tools to cause problems. They're scared of falling behind. Here's why banning shadow AI increases your security risk, and what to do instead.",
"isPartOf": {
"@type": "WebSite",
"@id": "https://www.aikido.dev#website",
"url": "https://www.aikido.dev",
"name": "Aikido Security"
},
"primaryImageOfPage": {
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#primaryimage"
},
"breadcrumb": {
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#breadcrumb"
},
"inLanguage": "en-US"
},
{
"@type": "BreadcrumbList",
"@id": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse#breadcrumb",
"itemListElement": [
{
"@type": "ListItem",
"position": 1,
"name": "Home",
"item": "https://www.aikido.dev"
},
{
"@type": "ListItem",
"position": 2,
"name": "Blog",
"item": "https://www.aikido.dev/blog"
},
{
"@type": "ListItem",
"position": 3,
"name": "Shadow AI risks start with fear, and banning makes them worse",
"item": "https://www.aikido.dev/blog/shadow-ai-risks-start-with-fear-banning-makes-them-worse"
}
]
},
{
"@type": "Organization",
"@id": "https://www.aikido.dev#organization",
"name": "Aikido Security",
"url": "https://www.aikido.dev",
"logo": {
"@type": "ImageObject",
"url": "https://www.aikido.dev/logo.png"
},
"sameAs": [
"https://www.linkedin.com/company/aikido-security",
"https://x.com/aikido_security"
]
},
{
"@type": "FAQPage",
"mainEntity": [
{
"@type": "Question",
"name": "What is shadow AI?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Shadow AI refers to the use of unapproved or unsanctioned AI tools by employees within an organization, without the knowledge or oversight of IT or security teams. It is a subset of shadow IT and poses significant data security and compliance risks."
}
},
{
"@type": "Question",
"name": "Why do employees use shadow AI?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Employees use unapproved AI tools primarily out of fear of falling behind in a job market where AI skills are increasingly required. When approved tools don't fit their workflows, or approval cycles move too slowly, employees turn to tools that help them do their jobs more effectively."
}
},
{
"@type": "Question",
"name": "Why doesn't banning AI tools work?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Banning AI tools forces usage underground rather than eliminating it. Employees will use personal devices or accounts to access the tools they depend on. As with BYOD, the more effective approach is to create a secure, sanctioned framework that meets employees' actual workflow needs."
}
},
{
"@type": "Question",
"name": "What are the security risks of shadow AI?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Shadow AI poses multiple security risks including sensitive data being fed into unvetted models, data used to train third-party AI systems, exposure through breaches of unsecured tools, and AI-generated content such as meeting transcripts becoming discovery targets in legal proceedings."
}
},
{
"@type": "Question",
"name": "How can organizations reduce shadow AI risk?",
"acceptedAnswer": {
"@type": "Answer",
"text": "Organizations should first gain visibility into what tools are being used, understand the workflow gaps driving unsanctioned usage, create psychological safety so employees feel comfortable disclosing tool usage, and accelerate their approval cycles to keep pace with the speed of AI development."
}
}
]
}
]
}
</script>
